約596万人分の個人情報持出、NTTドコモらに行政指導 - 個情委

すぐに規程へ対応できないことから、私的なインターネット接続を禁止し、端末内の作業データを当日中にすべて削除するといった時限的な例外措置を定め、定期的に自主点検を行うことを条件にNTTドコモでは許容していたという。

しかしながら例外措置は守られておらず、元従業員は端末内の自身しか把握していない場所にデータを保存。作業を終えてもデータを削除せず、ウェブブラウザのプライベートモードを用いて無断でクラウドサービスにアクセスし、データをアップロードしていた。

元従業員は、作成したツールのソースコードをノウハウとして持ち出したかったと話しており、個人データの第三者提供については行っていないと説明している。

また大量の顧客個人データを取り扱っているシステムだったが、外部インターネットへのアクセス制御をブラックリスト方式で運用しており、業務上不要なサイトへもアクセスできる状態だった。

個情委では、半年以上も組織における基準に適合していない状況下で、追加的運用ルールも徹底されておらず、物理面、技術面における安全管理措置が不十分だったと指摘した。

（Security NEXT - 2024/02/15 ）ツイート